Site gehackt.

[slipperman]

Een domein waar niets op stond staat nu ineens het volgende op:
(Alleen html, dus gewoon klikbaar)
Het staat op mijn dedicated server.
Ik maak gebruik van chrootkit, rkhunter en apf firewall.
Iemand enig idee wat dit kan zijn?
Link: http://www.downloadchrome.be/

Alvast bedankt.
Danny

[pierce]

Staat er een joomla achtig pakket op je server, misschien op een van je andere domeinen?

[Geert-Jan]

Staat er Joomla of dergelijke op?

//Edit, damn, pierce is weer vlugger...

[slipperman]

Nee, geen joomla site.

[Tommi]

Eventueel iets met phpbb of forum software?
Ook vaak veel lekken in te vinden.

[t.bloo]

vraag het ze even zelf, ze geven toch hun email adres

[dreamhost_nl]

Ik maak gebruik van chrootkit, rkhunter en apf firewall.

Dat vrijwaart je niet van fouten in geïnstalleerde scripts. Er zijn zat scripts, zoals hiervoor ook al genoemd, waarin programmeerfouten voorkomen, waardoor een derde partij bestanden kunnen installeren zonder toegang tot FTP of SSH en zelfs zonder inlogcodes.

[JanSmit]

gewoon verwijderen die troep. Indien alleen html dan hebben ze wellicht je ftp gehackt of zo

su6

Jan

[wonko]

kijk naar de index.html file, en kijk na wat de change-datum en uur is. Ga daarna in je logfiles op zoek rond dit tijdstip, en controleer wat er allemaal gebeurd is. Vermoedelijk is ofwel je paswoord zwak voor die account, ofwel zit een andere klant van jou met lekke scripts.

[Japje]

check van welke user die file is. Als het www-data/apache/oid is dan weet je dus dat het niet via ftp binnen is gekomen. Kijk dan eens naar Suexec, suphp of mod_ruid om te zorgen dat files onder de goede uid komen te staan.
Dit helpt tevens tegen het overschrijven/aanpassen van files die niet van de user zijn waar in het betreffende script/site word aangeroepen.

[Piwi-Web]

Het kan ook komen door een oude versie van Webspell?
Daar zit namelijk een bug in zodat men gewoon je ftp gegevens kan opvragen via een afbeelding, in latere versies is dat opgelost

[slipperman]

Ik maak geen gebruik van Webspell
Er staan geen andere klanten op behalve sites van me eigen.
Hoe kan ik zien doorwat de file is aangemaakt?

[Blacky]

Dan zul je echt de logfiles moeten gaan nakijken zoals Wonko al aangaf.

Die Turkse hacker is me wel bekend, heb ik al een paar keer gezien bij hacks van vBulletin forums waarbij gebruik werd gemaakt van mods die niet waterdicht waren o.a.
Kan ook een gewone deface geweest zijn, maar om er achter te komen wat het was zijn toch echt de logfiles cruciaal.

[wonko]

doe nu gewoon eens wat ik voorgesteld heb... je krijgt tips, maar je gebruikt ze niet?

[Japje]

cd /var/www;find . -name *.php

(of een andere dir als je die gebruikt voor je www)

Heb je direct een lijstje met alles wat potentieel exploitable is :P